Unisoc Storageの脆弱性番号が重複で却下、元のCVEを確認
UnisocのStorageに付いたCVE-2026-121803は、CVE-2026-80335の重複として却下されました。Unisoc製チップの機器を使う組織は、元のCVEとUnisocの告知で対象と修正版を確認してください。
急ぎ度: 計画的に
この番号は重複で却下されており単独では対応の対象になりませんが、元のCVE-2026-80335の評価と修正版の有無は確認が必要です。
関係があるか
Unisoc製チップを載せたスマートフォン、タブレット、IoT機器を業務で配布・運用している組織が関係します。機器にUnisoc製チップが使われていなければ、影響はありません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Unisoc（Unisoc (Shanghai) Technologies Co., Ltd.）のStorage | 対象のチップや版はUnisocのセキュリティ告知で確認してください。 | 修正版の有無と入手方法は、Unisocの告知と機器メーカーの案内で確認してください。 |
確かめ方
- 1資産台帳や端末管理ツールで、Unisoc製チップを使う機種を洗い出します。機種ごとの採用チップは、メーカーの仕様表で分かります。
- 2脆弱性スキャナーやチケットにCVE-2026-121803が残っていれば、CVE-2026-80335に付け替えて、そちらの評価を見ます。
- 3Unisocのセキュリティ告知で、CVE-2026-80335の対象チップと修正の提供状況を確認します。
何が起きたか
2026年11月4日に登録されたCVE-2026-121803は、同じ問題を指すCVE-2026-80335の重複と判断され、却下されました。この番号の下で新しい脆弱性が見つかったわけではありません。
UnisocのStorageに関する範囲外へのメモリ書き込み（CWE-787）という問題で、記録には元の識別名として「VULN-002 dl_download_midst」が挙がっています。却下された記録にも、CVSS v3で9.3、深刻度criticalという評価が残っています。
そのため、スキャナーや脆弱性管理ツールがこの番号で警告を出していても、追うべきなのは元のCVE-2026-80335です。
攻撃の流れ
-
1
端末上で実行
攻撃者が、対象機器の上で処理を実行できる状態になります。
-
2
Storageの処理
ストレージを扱う部分で、範囲外へのメモリ書き込みが起きます。
-
3
メモリが破壊される
本来触れない領域が書き換えられ、動作が乱れます。
-
4
影響が広がる
評価上は、機密性・完全性・可用性のすべてと、ほかの領域にも影響が及ぶとされています。
どう悪用されるか
この番号に付いた評価では、攻撃元は対象機器の上（ローカル）で、事前の権限も利用者の操作も要りません。攻撃の難易度は低いとされ、影響の範囲は脆弱な部分の外へ広がる想定です。
悪用されると、情報の漏えい、データの書き換え、機器の停止のいずれもあり得る、という評価です。ただし却下された番号の評価なので、実際の判断には元のCVE-2026-80335の評価を使ってください。
今すぐやること
-
1
元のCVEの記録を確認する
NVDなどでCVE-2026-80335の評価と対象を見て、自社の対応の優先度を決めます。
-
2
Unisoc製チップの機器を洗い出す
配布済みの端末や組み込み機器のうち、Unisoc製チップを使う機種を一覧にします。分からない機種は、販売元やメーカーに問い合わせます。
-
3
修正版を適用する
Unisocの告知で修正の提供状況を確認します。端末への修正は機器メーカー経由で届くことが多いので、メーカーの更新情報も見て、出ていれば更新します。Androidの端末なら、次のコマンドでセキュリティパッチの適用日を確認できます。
adb shell getprop ro.build.version.security_patch -
4
管理ツールの番号を整理する
却下された番号が台帳やチケットに残っていると、対応済みかどうかが分かりにくくなります。元のCVEにまとめ直します。
修正版がないあいだのつなぎ
修正版がまだ届かない機器では、攻撃元が機器の上であることを踏まえ、信頼できないアプリやファイルの導入を管理ツールで制限します。具体的な回避策の有無は、Unisocの告知で確認してください。
背景
Unisocは、低価格帯のスマートフォンやタブレット、IoT機器向けのチップを手がける半導体メーカーです。Storageは、端末の記憶領域とのデータのやり取りを受け持つ部分にあたり、ここで範囲外へメモリを書き込む問題が起きると、端末の動作の根っこに影響しかねません。
今回のような重複による却下は、CVEの運用ではめずらしくありません。ただ、却下後も古い番号がスキャナーの結果や資産管理に残ると、同じ問題を二重に数えたり、対応済みの確認が漏れたりします。番号を元のCVEにそろえる作業も、対応のうちです。
よくある質問
Q.スキャナーにCVE-2026-121803が出た場合、無視してよいですか。
Q.却下された番号のCVSS 9.3は、優先度の判断に使えますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Rejected reason: This CVE ID is a duplicate of CVE-2026-80335 (VULN-002 dl_download_midst) and has been rejected.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security@unisoc.com
- web nvd.nist.gov
- web github.com